Célio Vasconcellos, CEO da EONTA Cibersegurança, e Nílson Vianna, CEO da SmartCyber, explicam os riscos da exposição do número de telefone e os desafios para identificar a origem de um incidente
Mara Maravilha revelou nesta semana ter registrado boletim de ocorrência após a suposta exposição de dados privados, incluindo seu número de telefone, em meio a uma controvérsia envolvendo fãs de Xuxa. O episódio chama atenção para um problema que vai muito além das figuras públicas: a exposição e o uso indevido de dados pessoais.
Para Célio Vasconcellos, CEO da EONTA Cibersegurança, o número de telefone pode ser utilizado por criminosos como ponto de partida para diferentes tipos de ataques.
“Números de telefone são dados pessoais que, uma vez expostos, podem ser usados de forma maliciosa para phishing, fraudes, chantagens, falsos sequestros e ameaças. Pessoas comuns e figuras públicas são vítimas frequentes. O problema é que esses números circulam em dezenas ou centenas de bancos de dados, o que torna extremamente difícil rastrear a origem de um vazamento”, explica Vasconcellos.
Ao longo dos anos, um mesmo número pode ter sido fornecido a bancos, operadoras, lojas, aplicativos, programas de fidelidade e inúmeros outros serviços. Por isso, encontrar uma informação circulando na internet não significa necessariamente ter identificado sua origem.
“Quando o dado aparece na internet, raramente se sabe de onde ele saiu. Muitos incidentes podem estar relacionados a falhas de segurança em empresas e aplicativos, mas o risco não se limita à organização que originalmente coletou a informação”, afirma Vasconcellos.
Terceiros aumentam a complexidade
O problema se torna ainda mais complexo porque diversas organizações podem participar do tratamento da mesma informação.
“Prestadores de serviços, plataformas em nuvem, call centers e ferramentas de marketing também podem processar esses dados. Quanto maior a cadeia de terceiros, maior a necessidade de controlar quem possui acesso à informação e de manter evidências que permitam investigar o que ocorreu”, explica o CEO da EONTA.
Para Nílson Vianna, CEO da SmartCyber, essa dispersão torna a investigação técnica particularmente importante. Identificar a origem de um incidente pode exigir a análise de diferentes ambientes e registros digitais.
“Encontrar um número exposto não significa encontrar a origem do vazamento. Uma investigação precisa avaliar os sistemas envolvidos, registros de acesso, credenciais, possíveis vulnerabilidades e os terceiros que tiveram contato com aquela informação. Sem rastreabilidade e evidências técnicas adequadas, reconstruir o caminho percorrido pelo dado pode se tornar extremamente difícil”, afirma Vianna.
Segundo o executivo da SmartCyber, controles de acesso, autenticação, monitoramento e registros de eventos são importantes tanto para prevenir incidentes quanto para permitir sua investigação posterior.
“Segurança não é apenas impedir que alguma coisa aconteça. Quando ocorre um incidente, a organização precisa ter condições de detectar, conter, preservar evidências e entender tecnicamente o que aconteceu. Essas informações também podem ser importantes para o trabalho das autoridades quando houver indícios de crime”, acrescenta.
Uma vez em circulação, o número de telefone pode ainda ser combinado com informações obtidas de outras fontes.
“Criminosos cruzam informações de diferentes bases e constroem perfis mais detalhados das vítimas. Isso permite golpes muito mais convincentes, porque uma mensagem fraudulenta pode conter informações verdadeiras e parecer legítima”, alerta Vasconcellos.
Aplicativos buscam reduzir a exposição
Os próprios aplicativos de mensagens vêm criando alternativas para diminuir a dependência do número de telefone como identificador.
Desde o fim de junho de 2026, o WhatsApp começou a permitir a reserva de nomes de usuário, preparando a implementação gradual do recurso que permitirá iniciar novas conversas sem revelar o número de telefone.
Telegram e Signal já oferecem mecanismos semelhantes. Embora essas ferramentas não eliminem os riscos, podem reduzir a exposição desnecessária do número em grupos, comunidades e contatos profissionais.
Para os especialistas, entretanto, recursos de privacidade utilizados pelos indivíduos representam apenas uma parte da proteção. Empresas que coletam e processam essas informações também precisam estabelecer controles proporcionais aos riscos.
O que diz a legislação
No Brasil, a proteção dos dados pessoais está ancorada principalmente na Lei Geral de Proteção de Dados Pessoais (LGPD – Lei nº 13.709/2018). O número de telefone, quando relacionado a uma pessoa identificada ou identificável, é dado pessoal, e seu tratamento deve observar requisitos como finalidade, necessidade, base legal e medidas adequadas de segurança.
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o controlador deve comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, observando os procedimentos e prazos estabelecidos pela regulamentação aplicável. A Resolução CD/ANPD nº 15/2024 estabelece, como regra, prazo de três dias úteis para essa comunicação. As sanções administrativas previstas na LGPD podem incluir multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
O Marco Civil da Internet também estabelece princípios e garantias relacionados à privacidade nas comunicações digitais. Decisões recentes do Superior Tribunal de Justiça vêm discutindo em quais circunstâncias a disponibilização indevida de dados cadastrais pode gerar indenização, considerando o contexto, a natureza das informações e as consequências do compartilhamento.
Para Vasconcellos, o episódio reforça que a proteção de dados não pode ser tratada apenas como responsabilidade do usuário.
“Proteger o número de telefone deixou de ser apenas uma precaução individual. Exige responsabilidade das organizações que coletam e compartilham o dado, controles eficazes sobre terceiros e capacidade de preservar evidências, investigar e demonstrar tecnicamente o que ocorreu quando a proteção falha”, afirma.
Vianna acrescenta que a resposta eficaz depende também da integração entre diferentes atores.
“Quando há suspeita de crime, empresas, equipes de segurança, especialistas e delegacias especializadas precisam trabalhar de forma coordenada. Preservar as evidências desde o início aumenta a capacidade de compreender o incidente e fornece elementos técnicos para a investigação pelas autoridades”, conclui.